Redução de Bloat em Imagens OCI: Estratégias para Sysadmins Ubuntu

Introdução
A entrega rápida de software em ambientes corporativos tem sido historicamente limitada por duas forças opostas: a necessidade de imagens de contêineres enxutas e a exigência de visibilidade completa de vulnerabilidades. A recente iniciativa "Cut bloat, not features" traz ao Ubuntu ferramentas que permitem criar OCI images menores sem sacrificar a rastreabilidade de CVEs. Neste artigo, analisamos o que muda para quem administra VPS, instâncias em nuvem ou clusters Kubernetes, e como aplicar as novas práticas de forma segura e estável.

O que há de novo no Ubuntu?
A Canonical introduziu no Ubuntu 24.04 LTS (e backports para 22.04) um conjunto de pacotes e fluxos de trabalho focados em "minimal OCI images". Entre as novidades estão:
- **ubuntu-minimal-base**: uma metapackage que instala apenas o runtime essencial (glibc, libstdc++, busybox) e remove dependências de desenvolvimento.
- **squashfs-tools-ng** integrado ao *cloud-init* para gerar camadas de read‑only compactas.
- **cve‑filter‑scanner**: um scanner que correlaciona vulnerabilidades conhecidas com a camada exata da imagem, reduzindo ruído de falsos positivos.
Essas alterações permitem que ISVs entreguem contêineres <100 MB, mantendo a capacidade de auditoria de segurança exigida por políticas corporativas.

Impacto prático para Sysadmins
Para quem gerencia servidores de produção, a redução de tamanho traz benefícios imediatos:
- **Menor tempo de download** em redes com latência alta, especialmente em regiões de edge computing.
- **Redução do consumo de armazenamento** em registries privados, diminuindo custos de S3 ou Artifactory.
- **Superfície de ataque reduzida**, já que menos pacotes instalados significa menos vetores de exploração.
Além disso, o novo scanner de CVE integrado ao *snapd* permite que o *snap refresh* ignore vulnerabilidades que não afetam as camadas presentes na imagem, evitando alertas desnecessários.

Estratégias de redução de tamanho de imagens OCI
1. **Utilizar a base minimal**
   ```bash
   sudo apt-get install ubuntu-minimal-base
   ```
   Em seguida, crie a imagem base com *debootstrap*:
   ```bash
   sudo debootstrap --variant=minbase focal ./rootfs http://archive.ubuntu.com/ubuntu
   ```
2. **Camadas read‑only com SquashFS**
   ```bash
   mksquashfs ./rootfs ./rootfs.squashfs -comp xz -noappend
   ```
   Monte a camada em tempo de execução:
   ```bash
   mount -t squashfs -o loop rootfs.squashfs /var/lib/docker/overlay2//merged
   ```
3. **Remover ferramentas de depuração**
   ```bash
   apt-get purge -y gcc make binutils perl-doc man-db
   apt-get autoremove -y
   ```
4. **Compressão de camadas com *docker build --compress***
   ```bash
   docker build --compress -t myapp:minimal .
   ```
Essas práticas são compatíveis tanto com Docker quanto com LXD, pois ambos suportam camadas de leitura única.

Segurança do Kernel e visibilidade de CVEs
A nova abordagem não altera o kernel em si, mas recomenda a ativação de *kernel lockdown* e *seccomp* por padrão nas imagens minimalistas. Exemplo de configuração no *Dockerfile*:
```Dockerfile
FROM ubuntu:minimal
RUN apt-get update && apt-get install -y ca-certificates
# Habilita perfil seccomp restrito
COPY seccomp.json /etc/docker/seccomp.json
```
E no *daemon.json* do Docker:
```json
{
  "default-seccomp-profile": "/etc/docker/seccomp.json",
  "no-new-privileges": true
}
```
Com o *cve‑filter‑scanner* integrado, ao executar `cve-filter-scan /var/lib/docker/overlay2//merged` o sysadmin recebe um relatório que destaca apenas vulnerabilidades presentes nas camadas efetivas, eliminando o ruído típico de scanners que analisam a imagem completa.

Dicas de comandos para administração diária
- Verificar tamanho da imagem: `docker images --format "{{.Repository}} {{.Size}}" | sort -k2 -h`
- Auditar camadas: `docker history --no-trunc `
- Limpar imagens órfãs: `docker image prune -a --filter "until=240h"`
- Atualizar registries privados com *skopeo*: `skopeo copy docker://localrepo/myapp:minimal docker://registry.example.com/myapp:minimal`
Esses comandos ajudam a manter o ambiente enxuto e a garantir que apenas imagens aprovadas estejam em produção.

Conclusão – estabilidade em primeiro lugar
A proposta "Cut bloat, not features" não é uma moda passageira, mas uma evolução necessária para ambientes corporativos que exigem rapidez na entrega e rigor na segurança. Ao adotar as imagens minimalistas suportadas pelo Ubuntu, o sysadmin ganha performance de implantação, economia de recursos e, sobretudo, uma superfície de ataque reduzida. A integração nativa do scanner de CVE evita alertas falsos, permitindo que as equipes de segurança foquem nas vulnerabilidades reais. Quando combinada com boas práticas de kernel lockdown e políticas de limpeza automática, a estratégia garante que a estabilidade do cluster não seja comprometida, mesmo em escala massiva.